Velociraptor Offline Collector ile Bağlantısız DFIR Triyajı (Ajan Yok / Ağ Kısıtlı)
Velociraptor ajanı kurulamayan veya ağ erişimi kısıtlı ortamlarda (izole ağ, OT/ICS, saha) önceden yapılandırılmış şifreli offline collector ile kanıt toplama ve analiz.
Prepare
5 adım- Collector oluşturma
olay öncesi — Velociraptor GUI'den `Server Artifacts → Server.Utils.CreateCollector` ile Windows AMD64 (ve gerekirse ARM64) için collector oluştur; `Windows.KapeFiles.Targets` (!SANS_Triage, FileSystem, RegistryHives), `Windows.System.Pslist`, `Windows.Network.NetstatEnriched`, `Windows.Forensics.Prefetch`, `Windows.Sys.StartupItems` artifact'larını seç; çıktı formatı ZIP Archive; şifreleme için sunucu X509 public key ile AES şifrelemeyi etkinleştir (v0.6.7+ itibarıyla mevcut, v0.76.x'te desteklenir)
- Kaynak limitleri
Collector oluşturma sırasında CPU limit %50, bellek limiti 1 GB ve süre limiti 30 dakika olarak ayarla; saha ortamlarında sistem üzerindeki etkiyi minimize et
- Collector dağıtım hazırlığı
Oluşturulan `velociraptor-collector.exe` (~40–60 MB) dosyasını exFAT formatlı USB'ye veya write-only ağ paylaşımına kopyala; dağıtılacak ortam için doğru mimari olduğunu teyit et
- Şifreleme anahtarı yönetimi
Private key yalnızca analiz iş istasyonunda ve güvenli ekipte tutulur; collector'da yalnızca public key bulunur
- Zimmerman Tools ve analiz ortamı
Analiz iş istasyonunda `Get-ZimmermanTools.ps1 -NetVersion 6` ile MFTECmd, PECmd, RECmd araçlarını güncelle; offline analiz için Velociraptor sunucu bağlantısı gerekmez